BeyondTrust 遭中國間諜入侵 警報被當誤報

BeyondTrust 發生了甚麼事？

BeyondTrust 在 2026 年 10 月 15 日披露，旗下遠端支援產品 Remote Support 有一個零日漏洞 CVE-2026-102764，被懷疑與中國有關的間諜組織利用。據 Google 旗下 Mandiant 的報告，攻擊由 2026 年 8 月 29 日開始，其中一部受害伺服器正是由 BeyondTrust 自己託管。

BeyondTrust 的監測感應器其實即時偵測到入侵者提升權限，但第三方偵測平台內置的自動分流工具把警報當成誤報關閉。據 CSO Online 報道，入侵直到 9 月 28 日才被發現，前後約 30 日。BeyondTrust 在 9 月 28 日發現事件後，用 27 分鐘控制住自己託管的伺服器，但沒有公開該第三方平台的名稱。

BeyondTrust 表示，自動分流工具不應該可以自行關閉高嚴重程度的警報。

漏洞有多嚴重？

漏洞的 CVSS 4.0 評分為 9.3 分，屬嚴重級別。據 BleepingComputer 報道，漏洞屬身份驗證繞過，未經授權的遠端攻擊者可以在未修補的設備上執行檔案操作。

雲端版本已自動修補，自行託管的設備則要由管理員手動安裝修補。Privileged Remote Access 產品亦共用相關程式碼，BeyondTrust 未找到利用方法，但同樣推出修補。

攻擊者是誰？

Mandiant 和 Google 威脅情報小組把攻擊歸咎於代號 ARMORY CASTLE 的組織，即以往追蹤的 UNC5221，CrowdStrike 則稱之為 Warp Panda。據 The Record 報道，BeyondTrust 認同這是一個「由國家支持、專注長期情報收集」的中國間諜行動。

該組織入侵後利用 SUID 權限取得 root 存取權，植入名為 Sawfly 的網頁後門和 Bareclaw 隧道工具，再刪除日誌掩飾行蹤，並用盜取的管理員憑證進入內部系統。

用戶需要做甚麼？

Mandiant 建議，在攻擊期間曾連上互聯網而又運行受影響版本的設備，在檢查前都應視為已被入侵。據 BleepingComputer 引述 Shadowserver 數據，網上有超過 1,400 個 BeyondTrust 遠端支援系統暴露在互聯網。

BeyondTrust 過往亦曾被中國黑客入侵。2024 年底，Silk Typhoon 利用兩個零日漏洞和一條被盜的 API 金鑰，入侵 17 個 Remote Support 雲端系統，其中包括美國財政部。

來源

• BeyondTrust zero-day tied to Chinese spies puts Remote Support users on alert（CSO Online）
• BeyondTrust patches zero-day exploited in attacks since August（BleepingComputer）
• Suspected Chinese espionage attackers abusing BeyondTrust IT support zero-day（The Record）